当犯罪分子攻陷已信任的第三方以触及真正的目标时，就会发生供应链攻击。该第三方可能是软件供应商、IT 服务提供商、SaaS 平台，或可以访问系统或数据的业务合作伙伴。
对于中小型企业来说，这一风险很容易被低估。贵公司可能没有复杂的基础设施或庞大的 IT 团队，但很可能依赖许多外部服务：企业电子邮件、工资发放、会计、云存储空间、客户支持、CRM 和支付系统。每个相连的供应商都会创建一条进入您环境的潜在路径。
我们将解释什么是供应链攻击、这些攻击如何发生、中小型企业为何容易暴露，以及如何评估和降低第三方供应链风险。
什么是供应链攻击？
供应链攻击是一种通过已信任的外部关系触及组织的网络攻击。犯罪分子不直接攻击您的企业，而是攻陷供应商、软件更新、服务提供商、集成或第三方帐户，并利用该访问权限向下游触及您的客户。
如果供应商与您的组织相连，组织外部的薄弱环节仍可能影响您的系统、数据或运营。实际上，供应链网络攻击可能涉及：
- 更新机制已遭泄露的软件供应商。
- 攻击者通过其访问客户数据的 SaaS 平台。
- 管理员凭证被窃取的 IT 服务提供商。
- 项目结束后仍拥有访问权限的承包商帐户。
- 权限超出所需的第三方集成。
- 供应商员工的帐户，用于访问客户系统并窃取数据。
供应链攻击依赖并利用信任。您的企业允许该连接，是因为供应商具有合法角色，而攻击者随后滥用这种信任，以更接近您的数据、帐户或系统。
供应链攻击如何发生
供应链攻击通常始于已信任的连接。如果供应商、软件提供商、承包商或集成已经可以访问有价值的内容，攻击者就无需直接入侵您的企业。
路径可能各不相同，但模式往往相似：
- 攻陷第三方
- 利用该已信任的关系触及客户或相连的系统
- 扩大对您企业网络的访问
通过已泄露的供应商帐户
攻击者可能窃取或猜测供应商、承包商、代理商或托管服务提供商的凭证。如果该第三方可以访问您的系统，攻击者就可以使用合法帐户通过已信任的路由进入。
当供应商帐户拥有广泛权限、弱密码、没有多因素身份验证，或项目结束后从未移除访问权限时，风险尤其大。这就是为什么应定期审查第三方访问权限，并在不再需要时通过受控的管理员流程及时撤销。
通过软件更新和应用
当攻击者攻陷应用的构建、分发或更新方式时，就可能发生软件供应链攻击。此后，您的企业可能会从已信任的供应商安装或更新软件，却没有意识到该更新已被篡改。
这类攻击难以发现，因为活动似乎来自已知的软件提供商，而非未知来源。
通过第三方集成
许多软件即服务 (SaaS) 工具通过集成、插件、应用程序接口和权限相互连接。这些连接有助于团队更快地工作，但也可能创建隐藏的访问路径。
如果集成已遭泄露或权限超出所需，攻击者可能能够触及原始工具之外的数据、帐户或工作流程。
通过共享凭证和未受管理的访问
当供应商访问依赖于共享登录、存储在文档中的密码，或通过聊天和电子邮件发送的凭证时，供应链风险也会增加。如果其中某个凭证被暴露，您的企业可能不知道谁使用了它、在哪里共享过它，或它仍能访问多少系统。
访问控制是保护供应链安全的最强机制。每个供应商连接受到的控制越多，出现问题时限制损害就越容易。
为什么中小型企业更容易受到攻击
中小型企业往往认为供应链攻击是大企业的问题。实际上，较小的企业通过第三方更容易被触及，因为供应商访问通常不那么正式、监控较少，且审查频率较低。
每个 SaaS 服务都会增加一项依赖
大多数小型企业现在的日常工作都依赖 SaaS 服务。这些服务可以帮助企业快速灵活地运转，但也扩大了可以保存业务数据或连接到企业帐户的系统数量。
小型代理商、咨询公司、律师事务所或初创公司可能使用数十种外部服务，却不将其称为供应链。但从安全角度来看，这些服务是链条的一部分。
较小的团队可能缺乏供应商审查流程
大型组织通常有采购流程、供应商风险调查问卷、安全审查和法律流程。中小型企业可能反而依赖非正式的信任和速度。
自 2025 年初以来，Proton 的数据泄露观测站已发现 512 起泄露事件，暴露了超过 9.02 亿条记录。这种可见性非常重要，因为一旦凭证、联系人详情或业务数据被暴露，许多泄露事件就不会只局限于一家公司。
这并不意味着小型企业需要企业级的官僚流程，而是意味着它们需要一种实用的方法，在授予访问权限之前提出基本问题，并在工作发生变化后审查访问权限。
供应商访问权限往往超出必要范围
企业内的供应商访问权限通常出于实际原因而扩大。有时承包商需要访问共享云端硬盘，或代理商需要分析或广告帐户的访问权限。在当下，授予访问权限似乎是保持工作进展的最快方式，对于人手或资源不多的小型企业来说尤其如此。
风险只在之后才会显现，即这些权限未被收窄、审查或移除时。项目结束后供应商可能仍保留访问权限，共享登录可能继续流传，或者在原始需求早已过去很久之后，集成仍保持连接。
供应链攻击的真实案例
近期的泄露数据表明，第三方风险并非纸上谈兵。在为我们的数据泄露观测站进行研究时，我们发现了多起与第三方或供应链暴露相关的事件，这表明即使受影响的组织不一定是最初的泄露点，客户、员工或业务数据也可能出现在泄露数据集中。
Amtrak
2026 年 4 月，数据泄露观测站发现了一起与 Amtrak 相关的第三方事件，暴露记录超过 740 万条。已泄露的数据包括姓名、实际地址、邮政编码、电话号码、电子邮件地址和用户名。
对于企业来说，这是一个明显的例子，说明第三方事件可能大规模暴露身份和联系人数据，为网络钓鱼、身份冒充和基于凭证的攻击带来下游风险。
Canada Goose
2026 年 2 月，服装公司 Canada Goose 受到一起第三方事件影响，暴露记录超过 92.1 万条。已泄露的数据包括姓名、实际地址、电话号码和电子邮件地址。
即使没有密码，这类数据集仍会增加业务风险，因为攻击者可以利用联系信息使骗局、网络钓鱼尝试和社会工程更具可信度。
如何评估您的第三方风险
开始评估企业风险并不需要庞大的风险团队或大量资源。可以从一份简单的清单开始，重点关注最重要的供应商。
1. 梳理您的供应商和访问权限
列出可以访问您的系统或数据的供应商、SaaS 服务、承包商和合作伙伴。对每一项，记录：
- 他们可以访问哪些数据。
- 他们使用哪些帐户或集成。
- 他们是否拥有管理员权限。
- 访问权限是个人还是共享的。
- 是否要求多因素身份验证。
- 内部由谁负责该关系。
- 上次审查访问权限是什么时候。
当供应商访问通过一个具有明确归属、管理员可见性和可撤销访问权限的受控系统进行管理时，这份清单的维护会容易得多。
2. 按风险对供应商进行排序
并非每个供应商都需要详细审查。工资发放服务提供商、云存储平台、IT 服务提供商、CRM 或托管服务提供商比不涉及敏感数据的低风险服务更值得仔细审查。
优先考虑那些处理客户数据、凭证、付款、员工信息、生产系统或管理员访问权限的供应商。
3. 在授予访问权限之前提出安全问题
在授予访问权限之前，不妨退一步评估该第三方是否真正必要、他们需要访问哪些系统或数据，以及该级别的访问权限是否合理。在这个阶段，许多组织发现自己依赖的供应商、集成和外部帐户比预想的更多。
轻量级的供应商审查仍然有用。可以询问：
- 如果我们停止使用，我们的数据会怎样？
- 你们是否支持双重验证？
- 你们如何保护客户数据？
- 你们是否提供基于角色的访问控制？
- 你们是否提供审计日志或活动报告？
- 你们是否持有相关安全认证或遵循公认的安全标准？
- 你们如何就事件通知客户？
- 你们如何在内部管理员工访问权限？
- 你们是否支持最小特权访问？
您的企业可以采取哪些措施来减少暴露
降低供应链风险始于控制。实际上，这意味着您的企业需要明确的规则，规定如何审查供应商、他们可以访问什么、如何监控他们的活动，以及第三方遭泄露时该怎么办。
审查第三方供应商的安全实践
在授予供应商访问业务系统或敏感数据的权限之前，检查其安全实践是否与风险相匹配。处理客户记录、财务数据或管理员访问权限的供应商应达到比基础生产力应用更高的标准。
关注双重验证支持、基于角色的权限、审计日志、事件通知承诺、数据保留控制和明确的离职移交流程。
对第三方访问应用最小特权
最小特权原则可以在供应商帐户遭泄露时减少影响范围。这意味着在只读访问权限就足够时避免授予管理员权限，或在特定文件夹就够用时避免广泛的共享文件夹。
对供应商采用零信任原则
零信任并不意味着不信任每个供应商，而是意味着不认为已信任的关系应当带来无限的访问权限。
对于供应商访问，这意味着验证身份、限制权限、定期审查访问权限、要求双重验证、监控活动，并将每个连接都视为需要治理的对象。
监控异常访问模式
应监控与供应商相连的帐户是否存在不符合正常使用的行为。留意异常的登录位置、意外的下载、新的管理员用户、权限变更、非工作时间活动、新的集成，或访问超出供应商角色的数据。
这些信号并不总是证明已遭泄露，但可以帮助您的团队在小问题演变成更大范围的泄露之前做出响应。
为第三方泄露做好准备
您的事件响应计划应包括供应商事件。如果供应商报告了泄露，您的企业需要知道下一步该怎么做。我们撰写了有关企业数据泄露防护 的内容，可以帮助您规划企业对第三方泄露的响应。
明确谁联系供应商、谁审查访问权限、谁检查日志、谁决定是否应轮换凭证，以及在需要时谁与客户或监管机构沟通。
为每个供应商和第三方工具使用唯一的凭证
唯一的凭证是减少供应链影响范围最简单的方法之一。如果供应商门户遭泄露，且员工在其他地方重复使用了该密码，攻击者可能会尝试用相同的凭证攻击电子邮件、SaaS 平台、财务工具或管理员系统。
每个供应商使用唯一的密码可以防止这种直接重复使用，还能让事件响应更清晰。当供应商遭泄露时，您知道哪些凭证需要注意，而不用猜测相同的密码可能在哪里被使用过。
Proton Pass 是一款企业密码管理器，可以帮助您的团队为每个供应商和第三方服务生成强而唯一的密码、将其存储在已加密的保险库中、使用自动填充，并安全地共享访问权限。这使得凭证卫生在现代企业依赖的众多外部服务中更容易维护。
供应链攻击中的凭证连接
供应链攻击往往始于供应商，但凭证决定了影响能扩散多远。
如果承包商帐户遭泄露但访问权限有限，损害可能得到控制。如果同一帐户拥有广泛权限、共享凭证、重复使用的密码或对敏感系统的访问权限，攻击者就有更大的活动空间。
这就是为什么密码和访问管理应属于供应链风险管理的一部分。对于每个供应商或第三方工具，您的企业应该了解：
- 存在哪些凭证。
- 谁可以访问它们。
- 密码是否唯一。
- 是否已启用 MFA。
- 是否仍需要访问权限。
- 帐户是共享的还是个人的。
- 内部由谁负责该帐户。
像 Proton Pass 这样的企业密码管理器有助于让这些问题更容易回答。供应商密码可以存储在一个具有安全共享和更清晰归属的受控系统中，而不是散落在电子表格、浏览器配置文件、聊天消息或个人笔记中。
这并不能免除审查供应商或监控活动的需要，而是强化了最具影响力的控制措施之一：确保第三方泄露不会成为您自己企业内部的密码重复使用问题。
将第三方安全融入日常运营
供应链攻击将信任变成入侵路径。通常为企业提供支持的供应商、软件更新、SaaS 帐户、承包商或集成，可能成为攻击者用来触及数据或系统的路径。
小型企业无法避开第三方，也不需要避开。SaaS 工具、IT 服务提供商、承包商和供应商是现代企业运作方式的一部分。目标是以足够的控制来管理这些关系，使一次泄露不会演变成更大范围的泄露。
从基础做起：梳理您的供应商、评估访问权限、提出安全问题、应用最小特权、采用零信任原则、监控异常活动，并为第三方泄露制定预案。然后通过为每个供应商和第三方服务设置唯一的密码来降低凭证风险。
Proton Pass 帮助企业将这种控制付诸日常实践。当每个供应商登录都有自己的唯一凭证、共享访问保留在已加密的保险库中，且团队可以在合作关系结束时立即撤销访问权限时，单个泄露的密码在您的企业帐户之间引发连锁反应的可能性就大大降低。
